IA y RGPD: cómo usar ChatGPT, Claude o Gemini en tu empresa con los datos en Europa

Cuando un empleado pega un contrato en ChatGPT o un agente de IA responde a tus clientes por WhatsApp, esos datos viajan a un servidor. La pregunta que cada vez más empresas (y sus clientes) se hacen es: ¿dónde está ese servidor, quién guarda los datos y para qué?

La respuesta corta

• Se puede usar IA cumpliendo el RGPD, pero no con cualquier configuración. Las versiones gratuitas y personales de los chats no están pensadas para datos de empresa.
• Los grandes proveedores ofrecen procesamiento en Europa, aunque casi nunca por defecto: hay que elegirlo, a veces pedir aprobación y pagar algo más.
• Hay tres preguntas que importan: dónde se procesan los datos, cuánto tiempo se guardan y si se usan para entrenar modelos.
• “Procesado en Europa” no es lo mismo que “proveedor europeo”. Un proveedor estadounidense con servidores en la UE sigue sujeto a la ley de su país.

Por qué importa dónde se procesan los datos

• El RGPD regula las transferencias internacionales. Enviar datos personales fuera del Espacio Económico Europeo exige una base legal: hoy, normalmente, el Marco de Privacidad de Datos UE-EE. UU. o las cláusulas contractuales tipo.
• Ese marco está recurrido. El Marco de Privacidad sigue vigente, pero hay un recurso pendiente ante el Tribunal de Justicia de la UE (asunto C-703/25 P). Sus dos predecesores (Safe Harbor y Privacy Shield) fueron anulados por ese mismo tribunal. Procesar en Europa reduce la dependencia de ese marco.
• Tus clientes lo preguntan. Licitaciones, cuestionarios de proveedores y clientes de sectores como salud, legal o finanzas piden cada vez más saber dónde trata tus datos la IA.
• Es parte de usar la IA con responsabilidad. El artículo 4 del AI Act exige formar a tu equipo, y una buena política de uso empieza por saber qué herramienta procesa qué datos.

Las tres preguntas que debes hacer a cualquier proveedor de IA

1. ¿Dónde se procesan los datos? Dónde se ejecuta el modelo (la “inferencia”), no solo dónde se guardan los archivos. Son garantías distintas.
2. ¿Cuánto tiempo se guardan? Muchos proveedores conservan las peticiones unos 30 días para vigilar abusos. Algunos ofrecen retención cero (no guardar nada una vez enviada la respuesta), normalmente bajo aprobación.
3. ¿Se usan para entrenar modelos? En las API y planes de empresa, los grandes proveedores no entrenan con tus datos por defecto. En las versiones gratuitas y personales de los chats, a menudo sí, salvo que lo desactives.

Proveedor por proveedor (octubre de 2026)

Proveedor	¿Procesa en la UE?	Cómo	A tener en cuenta
OpenAI (API)	Sí, con aprobación	Proyecto con residencia en Europa, previa aprobación de OpenAI	Requiere aprobar controles de retención. Recargo del 10% en los modelos más recientes. No entrena con datos de la API por defecto
OpenAI en Microsoft Azure	Sí	Despliegues en la “zona de datos” de la UE	Los despliegues globales pueden procesar fuera de la UE en momentos de carga
Anthropic (API propia de Claude)	No	Solo procesamiento en EE. UU. o “global”	Para procesar en la UE hay que usar Claude a través de AWS o Google Cloud
Claude en AWS Bedrock o Google Cloud	Sí	Regiones europeas de cada nube	La región la marca el punto de acceso elegido. Comprueba qué modelos hay en cada región
Google Gemini en Vertex AI	Sí	Multirregión UE o regiones como Fráncfort, París o Países Bajos	Google garantiza el lugar de procesamiento solo en las regiones que lista. La API gratuita de Gemini es otra cosa
Mistral (Francia)	Sí, por defecto	Su plataforma se aloja en la UE	Proveedor europeo. Revisa en su contrato si usa los datos para mejorar sus modelos y cómo desactivarlo
Modelos abiertos en tu propio servidor	Sí	Servidor europeo propio o de un proveedor europeo	Control total, pero más coste técnico y, a menudo, menos capacidad que los modelos punteros

Las ofertas cambian cada pocos meses. Antes de decidir, confirma las condiciones vigentes en la documentación y el contrato de cada proveedor.

Los chats de consumo no son la API

Es la confusión más habitual. ChatGPT, Claude o Gemini en su versión gratuita o personal son productos de consumo: pueden usar tus conversaciones para entrenar si no lo desactivas, y no ofrecen contrato de encargado del tratamiento. Las versiones de empresa y las API funcionan con otras condiciones: contrato de tratamiento de datos, sin entrenamiento por defecto y, en algunos casos, procesamiento en Europa.

Si tu equipo usa cuentas personales para trabajo, ese es el primer riesgo que hay que cerrar.

“En Europa” tiene matices

• Procesamiento y almacenamiento son cosas distintas. Un proveedor puede guardar tus archivos en Europa y procesarlos fuera, o al revés. Pregunta por los dos.
• Los datos de sistema suelen quedar fuera. Facturación, registros técnicos o algunos esquemas no siempre están cubiertos por la residencia.
• No todas las funciones están cubiertas. Algunas herramientas de un mismo proveedor (agentes, almacenamiento de archivos, trazas) pueden no tener residencia europea aunque el modelo sí la tenga.
• La ley estadounidense sigue aplicando. Una empresa de EE. UU. con servidores en la UE puede recibir requerimientos de su gobierno (CLOUD Act). Para datos muy sensibles, un proveedor europeo o un modelo en tu propio servidor reducen ese riesgo.

Cómo lo configuramos en nuestros proyectos

Trabajamos con clientes de Europa y de fuera de ella. Para clientes europeos, esta es nuestra configuración por defecto cuando construimos un agente o una plataforma con IA:

• Procesamiento en Europa para todos los modelos que usa el sistema: el agente, la lectura de documentos, la transcripción de notas de voz y los resúmenes.
• Retención cero y sin entrenamiento. Los proveedores no guardan las peticiones ni las usan para entrenar.
• Un modelo de respaldo de otro proveedor, también en Europa. Si el modelo principal falla, el sistema cambia solo a un segundo modelo de una empresa distinta, sin salir de la UE. Una caída de un proveedor no para el servicio.
• Los datos más sensibles, fuera del alcance de la IA. Por ejemplo, el número de un documento de identidad: el agente puede guardarlo, pero no leerlo, así que no puede filtrarlo aunque alguien intente manipularlo.
• Las credenciales nunca salen de tu red. Cuando la IA consulta tus sistemas, lo hace a través de una pasarela de solo lectura, como en este proyecto para un grupo empresarial.
• Claves separadas para pruebas y producción, con límites de gasto.

Para clientes de fuera de la UE, que no están sujetos al RGPD, elegimos los modelos y las regiones que mejor encajen con su legislación, su caso y su presupuesto, sin limitarnos a los europeos.

Checklist RGPD para usar IA en tu empresa

• Inventario de herramientas de IA que usa tu equipo, incluidas las cuentas personales
• Solo cuentas de empresa o API, con contrato de encargado del tratamiento (DPA) firmado
• Procesamiento en la UE configurado donde haya datos personales
• Retención mínima o cero, y entrenamiento desactivado
• Base para las transferencias internacionales, si las hay (Marco de Privacidad o cláusulas tipo)
• Registro de actividades de tratamiento actualizado con los usos de IA
• Evaluación de impacto (EIPD) si la IA trata datos sensibles o toma decisiones sobre personas
• Información a los usuarios cuando hablan con una IA
• Política interna de uso de IA y formación del equipo

Preguntas frecuentes

¿ChatGPT cumple el RGPD? Depende de la versión y de cómo se use. La versión gratuita o personal no es adecuada para datos personales de tu empresa. ChatGPT Enterprise o la API de OpenAI, con contrato de tratamiento de datos y, si lo necesitas, residencia en Europa, sí pueden usarse cumpliendo el RGPD.

¿Es más seguro un proveedor europeo como Mistral? Reduce la exposición a leyes de fuera de la UE y simplifica las transferencias internacionales. Pero sigue siendo necesario revisar el contrato, la retención y el uso de datos para entrenamiento. Y para algunas tareas, los modelos más capaces siguen siendo de proveedores estadounidenses, que ofrecen procesamiento en Europa.

¿Puedo usar IA con datos de salud o de menores? Con mucha cautela: son categorías especiales de datos. Necesitas una base legal clara, una evaluación de impacto y, preferiblemente, procesamiento en Europa con retención cero o un modelo en tu propio servidor.

¿Procesar en Europa cuesta más? A veces, un poco. Algunos proveedores aplican un recargo de alrededor del 10% en sus modelos más recientes. Para la mayoría de proyectos de pymes, la diferencia es de pocos euros al mes.

¿Cuál es la mejor opción para mi empresa? Depende de qué datos trata la IA y para qué. Para redactar correos internos, una cuenta de empresa bien configurada suele bastar. Para un agente que trata datos de clientes, conviene procesamiento en Europa, retención cero y un respaldo de otro proveedor.

¿Quieres usar IA sin dudas sobre tus datos?

Te ayudamos a elegir los modelos y la configuración adecuados para cada caso, y construimos agentes y plataformas a medida con los datos en Europa desde el primer día cuando lo necesitas. Reserva una llamada gratuita.

Esta guía es informativa y no constituye asesoramiento jurídico. Las condiciones de los proveedores cambian con frecuencia. Última revisión: 14 de octubre de 2026.